Sistemas de deteção de intrusão e anomalias de rede não invasivos e BlackEnergy 3

Como já foi referido em diversas ocasiões, para aumentar a segurança dos ambientes de operação, não basta incorporar contramedidas para a prevenção, sendo necessário implementar sistemas específicos que facilitem a deteção, a resposta, a informação e a recuperação.

Entre os sistemas que ajudam a detetar, a responder e a informar de forma precoce sobre possíveis ameaças, encontram-se os sistemas de deteção de intrusão e anomalias de rede não invasivos, específicos para ambientes OT.

Trata-se de soluções que são implementadas num appliance (HW + SW) que permite a deteção de intrusões na rede OT de forma não invasiva (ou seja, não são instalados hosts/agentes nos sistemas de tempo real), a descoberta de vetores de ataque baseados em malware e a existência de anomalias de protocolos industriais e de atividades de operação.

O sistema realiza estas atividades de forma inteligente. Esta última característica é fundamental. O sistema aprende com o funcionamento da rede de operação (analisando o tráfego através da ativação de uma porta de um switch em modo “mirroring”) e estabelece uma série de padrões válidos. Se o sistema detetar algum comportamento na rede que não corresponda ao que foi aprendido, lança imediatamente um alerta informando sobre essa anomalia.

O que é que estes sistemas têm a ver com o BlackEnergy3? E já agora, o que é o BlackEnergy3?
Como referimos há alguns anos nesta publicação, o BlackEnergy foi o malware associado à APT Sandworm, que infetava os servidores SCADA Web da solução Cimplicity da General Electric. O ICS –CERT publicou na altura o alerta ICS-ALERT-14-281-01A. Se os sistemas não foram atualizados, é muito provável que, desde 2012, muitos deles continuem infetados.

Atualmente, os sistemas que estejam comprometidos podem ser afetados pelo comportamento que descrevemos a seguir.

Normalmente, as organizações realizaram projetos de segmentação de redes, incorporando firewalls entre as redes de operação/críticas e as redes transacionais (IT). Adicionalmente, se for necessário incorporar SCADA Web para realizar o acesso remoto, é normal criar uma zona desmilitarizada com acesso à Internet. Na figura seguinte, é apresentada de forma muito esquemática uma arquitetura na qual foi omitida a rede IT e é representada a rede OT/crítica e uma rede na qual convergem servidores SCADA Web.

O equipamento B está infetado pelo BlackEnergy. Aproveitando esta situação, o atacante quer aceder ao equipamento A, localizado na rede OT. Para tal, utiliza o protocolo SMB (habitualmente autorizado nas firewalls que segmentam redes LAN para permitir a troca e partilha de ficheiros). Entre as duas máquinas, são trocados RPC sobre SMB. Este tipo de troca permite ao BlackEnergy 3, utilizando as RPC, aceder aos equipamentos que estão na rede crítica e, a partir daí, tomar o controlo do processo, extrair informações confidenciais, etc.

Como se pode intuir, este tipo de comportamentos do protocolo SMB e de troca de RPC não deve ser considerado normal. Se uma organização tivesse implementado um sistema que permitisse detetar estas anomalias de tráfego e de comunicações entre dispositivos e/ou protocolos, poderia tomar as medidas oportunas para isolar os equipamentos, reconfigurar as firewalls, atualizar, se possível, o sistema SCADA Web.

Desde a Logitek, prescrevemos a solução LK CyberSense como sistema de deteção de intrusão e anomalias de rede não invasivos. Se desejar conhecer os seus benefícios, entre em contacto connosco.